Atak i zaszyfrowanie danych to jedna z najpoważniejszych awarii, jakie może spotkać firmę — ale sposób reakcji w pierwszych minutach realnie wpływa na to, ile uda się uratować.

Objaw

Pliki na dysku lub w sieci firmowej nagle stają się niedostępne, zmieniają rozszerzenie na nietypowe, a w folderach pojawia się komunikat żądający okupu za odszyfrowanie danych. Czasem problem dotyczy jednego stanowiska, czasem rozprzestrzenia się na kilka naraz.

Możliwe przyczyny

Otwarcie zainfekowanego załącznika e-mail — najczęstszy wektor ataku.
Kliknięcie w złośliwy link w wiadomości podszywającej się pod zaufaną instytucję.
Wykorzystanie luki w nieaktualizowanym oprogramowaniu na stanowisku lub serwerze.
Przejęty zdalny dostęp do sieci firmowej, jeśli był niewłaściwie zabezpieczony.

Co robimy

Pierwszym krokiem jest odcięcie zainfekowanych stanowisk od sieci, żeby zatrzymać dalsze rozprzestrzenianie się szyfrowania na inne komputery i zasoby wspólne. Wykonywana jest ocena zakresu szkody — które pliki i systemy zostały dotknięte. Jeśli firma ma sprawdzone kopie zapasowe, dane są odtwarzane z nich, po wcześniejszym upewnieniu się, że sama kopia nie jest zainfekowana. Na końcu wdrażane jest zabezpieczenie przed powtórką ataku — aktualizacje, polityki haseł, uwierzytelnianie dwuskładnikowe.

Ile to trwa

Dojazd serwisanta do siedziby firmy realizowany jest w ciągu 1 godziny od zgłoszenia, całą dobę. Czas pełnego odtworzenia danych zależy od zakresu ataku i dostępności aktualnej, niezainfekowanej kopii zapasowej.

Co można zrobić samemu, zanim przyjedzie serwisant

Najważniejsze jest natychmiastowe odłączenie zainfekowanego komputera od sieci — fizycznie, wyciągając kabel, albo wyłączając Wi-Fi — bez wyłączania samego komputera, co mogłoby utrudnić późniejszą analizę. Warto też jak najszybciej sprawdzić, czy kopie zapasowe są dostępne i czy nie zostały objęte atakiem.

Czego nie robić: nie warto płacić okupu ani samodzielnie kontaktować się z atakującymi — nie ma gwarancji odzyskania danych, a to jedynie potwierdza atakującym, że ofiara jest skłonna zapłacić. Nie warto też uruchamiać podejrzanych „narzędzi do odszyfrowania" znalezionych przypadkowo w internecie.

Warunki

Dojazd na terenie Warszawy i okolic realizowany jest bezpłatnie, całą dobę, bez dopłat za noc, weekend i święta. Ten scenariusz najlepiej pokazuje sens regularnych testów odtwarzania kopii zapasowych — firma bez sprawdzonej kopii przy ataku zostaje z niczym.

Rodzaje oprogramowania szyfrującego i specyfika ataku

Ataki szyfrujące ewoluują, a złośliwe oprogramowanie przybiera różne formy, co wpływa na proces diagnozy i szanse odzyskania danych. Jednym z wariantów jest szyfrowanie wyłącznie plików dokumentów i baz danych na lokalnym dysku komputera. W takim scenariuszu system operacyjny działa bez zarzutu, uruchamia się prawidłowo, ale dostęp do arkuszy kalkulacyjnych, plików tekstowych czy projektów graficznych zostaje zablokowany. Pliki te otrzymują rozszerzenia ciągów znaków (na przykład .locked, .crypt) lub losowe kombinacje liter i cyfr, a obok nich pojawia się plik tekstowy z instrukcją od sprawców.

Znacznie groźniejszym wariantem jest atak z wykorzystaniem oprogramowania zdolnego do przeszukiwania zasobów sieciowych. Infekcja jednego stanowiska w biurze powoduje szybkie zajęcie mapowanych dysków sieciowych, serwerów plików (urządzeń NAS) czy folderów udostępnianych przez innych pracowników. W takim przypadku odcięcie źródła problemu staje się trudniejsze, ponieważ szyfrowanie postępuje równolegle na wielu urządzeniach podłączonych do lokalnej infrastruktury sieciowej.

Kolejnym typem ataku jest szyfrowanie całych woluminów dyskowych lub sektora rozruchowego (MBR). W takiej sytuacji komputer w ogóle nie ładuje systemu operacyjnego. Zamiast standardowego ekranu logowania, zaraz po uruchomieniu komputera wyświetlany jest komunikat tekstowy żądający opłaty. Brak dostępu do środowiska systemu operacyjnego utrudnia analizę samego szkodliwego oprogramowania i wymaga użycia zewnętrznych nośników rozruchowych do zbadania stanu dysku twardego.

Niezależnie od wariantu ataku, proces szyfrowania wykorzystuje silne algorytmy kryptograficzne (takie jak AES czy RSA). Bez posiadania unikalnego klucza deszyfrującego, przechowywanego na serwerach atakujących, złamanie takiego szyfru w racjonalnym czasie przy użyciu dostępnych metod obliczeniowych jest niemożliwe. Wymaga to odpowiedniego zaplanowania procesu odzyskiwania środowiska informatycznego z innych źródeł.

Błędy popełniane w pierwszych minutach po ataku

Zauważenie niedostępnych plików często wywołuje panikę, która prowadzi do działań pogarszających sytuację. Podstawowym błędem jest wielokrotne restartowanie zainfekowanego komputera. Oprogramowanie ransomware (szyfrujące) często działa w tle, a ponowne uruchomienie systemu może przyspieszyć proces szyfrowania lub zainicjować usuwanie punktów przywracania systemu Windows (tak zwanych kopii w tle), co zamyka jedną z dróg odzyskania poprzednich wersji plików.

Kolejnym szkodliwym działaniem jest podłączanie zewnętrznych dysków twardych, pendrive'ów czy nośników z kopiami zapasowymi do nadal zainfekowanego i podłączonego do sieci komputera. Szkodliwe oprogramowanie automatycznie wykrywa nowe nośniki i rozpoczyna szyfrowanie znajdujących się tam danych. W ten sposób użytkownicy często nieodwracalnie niszczą jedyną bezpieczną kopię swoich dokumentów firmowych, która do tej pory była odizolowana od zagrożenia.

Częstym błędem jest również natychmiastowe usunięcie lub formatowanie całego dysku, zanim zostanie przeprowadzona diagnoza i inwentaryzacja strat. Chociaż sformatowanie dysku usuwa wirusa, trwale niszczy też zaszyfrowane pliki. Czasami w systemie pozostają niezaszyfrowane wersje tymczasowe plików, pliki w koszu systemowym lub pliki wymiany. Pospieszne sformatowanie dysku bezpowrotnie przekreśla szansę na wydobycie tych drobnych, ale czasem kluczowych fragmentów danych.

Poważnym ryzykiem obarczone jest samodzielne pobieranie z internetu programów obiecujących bezpłatne i natychmiastowe odszyfrowanie danych. Większość takich narzędzi z nieznanych źródeł to kolejne programy złośliwe, które mogą zainstalować na komputerze oprogramowanie śledzące lub umożliwić atakującym zdalny dostęp. Bezpieczne i zweryfikowane dekryptory (programy odszyfrowujące) udostępniane przez firmy zajmujące się cyberbezpieczeństwem są zazwyczaj dedykowane dla starszych wariantów wirusów, ale ich użycie wymaga najpierw precyzyjnej identyfikacji rodzaju ransomware.

Sytuacje, w których problem nie jest wynikiem ataku ransomware

Brak dostępu do plików lub zmiana ich wyglądu nie zawsze oznacza atak szyfrujący. Warto odróżnić te objawy od innych usterek systemowych lub sprzętowych, które wywołują podobny efekt wizualny, ale wymagają zupełnie innych metod naprawy.

Nagłe pojawienie się niezrozumiałych znaków w dokumentach tekstowych często wynika z awarii samego dysku twardego. Uszkodzenie powierzchni magnetycznej w tradycyjnym dysku mechanicznym (HDD) lub degradacja komórek pamięci w dysku półprzewodnikowym (SSD) prowadzi do utraty spójności danych. System operacyjny próbuje odczytać plik, ale z powodu brakujących sektorów wyświetla tak zwane krzaki. Różnica polega na tym, że w przypadku awarii sprzętowej dysku nie zmienia się celowo rozszerzenie pliku, a na pulpicie nie pojawia się żaden komunikat od szantażystów.

Zmiana wyglądu ikon na białe kartki systemowe i niemożność otwarcia załączników z reguły wynika ze zwykłego odinstalowania lub awarii programu przypisanego do danego typu pliku. Przykładowo, jeśli pakiet biurowy ulegnie uszkodzeniu podczas aktualizacji, system przestanie poprawnie rozpoznawać pliki PDF czy arkusze kalkulacyjne. Aplikacja informuje wtedy o braku programu do obsługi pliku, ale sama zawartość dokumentu na dysku pozostaje nienaruszona i wystarczy jedynie poprawnie powiązać rozszerzenie z nowym oprogramowaniem.

Utrata dostępu do zasobów udostępnionych w sieci biurowej bywa też efektem nieprawidłowej konfiguracji zapory sieciowej (firewalla) po aktualizacji systemu lub awarii routera zarządzającego ruchem lokalnym. Pliki mogą nagle zniknąć z mapowanego dysku sieciowego (na przykład dysku Z: na liście dysków lokalnych), co wywołuje obawę przed atakiem. Diagnoza sieciowa często wykazuje, że fizyczny serwer działa poprawnie, a błąd dotyczy jedynie routingu (kierowania ruchem sieciowym) lub uprawnień systemowych, co rozwiązuje się bez ingerencji w same pliki.

Najczęściej zadawane pytania dotyczące szyfrowania danych

Czy zgłoszenie sprawy na policję zatrzyma atak?

Zgłoszenie incydentu na policję jest odpowiednim krokiem formalnym i prawnym, szczególnie ważnym dla firm w kontekście przepisów o ochronie danych osobowych. Działanie to nie wpływa jednak na techniczny stan sprzętu ani nie zatrzymuje trwającego szyfrowania w infrastrukturze lokalnej. Priorytetem zawsze pozostaje fizyczne odcięcie zakażonych maszyn od zasilania sieciowego lub dostępu do internetu. Służby po przyjęciu zgłoszenia zabezpieczają ślady, jednak przywracaniem ciągłości działania systemów i czyszczeniem sieci zajmują się z reguły specjaliści z zakresu infrastruktury informatycznej.

Skąd wiadomo, który komputer zapoczątkował infekcję?

Identyfikacja źródła ataku w większych sieciach opiera się na analizie dzienników zdarzeń (logów systemowych) w systemach serwerowych. Weryfikowany jest czas modyfikacji poszczególnych plików oraz adresy IP urządzeń dokonujących masowych zmian na dysku sieciowym. Oprogramowanie szyfrujące zazwyczaj pozostawia plik tekstowy z instrukcją zapłaty w każdym katalogu, w którym zmodyfikowało dane. Sprawdzenie, który użytkownik sieciowy jest właścicielem pliku instrukcji (kto go zapisał), znacznie zawęża poszukiwania punktu wejścia zagrożenia do konkretnego stanowiska.

Czy odzyskanie części plików jest możliwe, jeśli nie ma pełnej kopii zapasowej?

Zdolność do odzyskania fragmentów danych bez aktualnej kopii zapasowej (backupu) i bez uiszczania opłat szantażystom zależy ściśle od wariantu szkodliwego oprogramowania i sposobu jego działania w systemie plików. Zdarza się, że proces szyfrowania nie nadpisuje pliku w tym samym miejscu, lecz tworzy jego zaszyfrowaną wersję, a oryginał po prostu kasuje z tablicy alokacji. W takiej sytuacji użycie oprogramowania do głębokiego skanowania i odzyskiwania danych skasowanych (analiza sektorów nieprzydzielonych) pozwala na wydobycie usuniętych oryginałów, pod warunkiem że nie zostały one wcześniej nadpisane innymi danymi przez system.

Dlaczego program antywirusowy nie zablokował infekcji?

Standardowe programy antywirusowe w dużej mierze opierają się na analizie sygnatur, czyli porównują otwierane pliki z bazą znanych wirusów. Twórcy oprogramowania szyfrującego stale modyfikują jego kod, dlatego zupełnie nowe warianty (tak zwane ataki zero-day, czyli nowo powstałe zagrożenia) nie są rozpoznawane przez przestarzałe bazy sygnatur i mogą przejść przez podstawowe systemy ochronne. Problem ten dotyczy zwłaszcza środowisk pozbawionych zaawansowanej analizy behawioralnej, czyli ciągłego monitorowania nietypowego zachowania programów, na przykład prób masowej zmiany setek plików w bardzo krótkim czasie.

Znaczenie prawidłowej struktury IT po incydencie

Każdy zrealizowany atak na infrastrukturę to potwierdzenie, że dotychczasowe procedury bezpieczeństwa sprzętowego i polityki archiwizacji danych okazały się niewystarczające względem obecnych zagrożeń. Analiza punktów wejścia oprogramowania, odtwarzanie zasobów wyłącznie z bezpiecznych woluminów oraz hermetyzacja sieci decydują o odporności infrastruktury na przyszłe problemy techniczne. Rzetelna identyfikacja szkodnika i podjęcie metodycznych kroków konfigurujących luki dostępowe to jedyna skuteczna droga do zabezpieczenia środowiska produkcyjnego przed utratą kluczowych danych.

22 378 48 09

Atak ransomware — pierwsze kroki po zaszyfrowaniu danych